Прекомерно събиране на данни, липса на регистър, незачитане на правата на хората или липса на сътрудничество са част от нарушенията
Френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) съобщи на 8 октомври, че след юни 2024 г. е издал единадесет нови санкционни решения като част от своята опростена процедура за общо 129 000 евро.
Основните установени недостатъци засягат:
- неспазване на принципа за минимизиране на данните (системно и пълно видеонаблюдение на служители и записи на телефонни разговори);
- липса на регистър за обработване;
- липсата на средства за отказ от бисквитки толкова лесно, колкото и за приемането им;
- липса на сътрудничество с надзорния орган;
- незачитане правата на хората (липса на отговор в определените срокове);
- неинформиране на хората (клиенти и служители).
Няколко санкции, предприети като част от опростената процедура, са заради установено нарушение на принципа за минимизиране на данните, независимо дали става въпрос за видеонаблюдение на служители или систематично и пълно записване на телефонни разговори между телефонни консултанти и потенциални клиенти.
Както редовно напомня CNIL, постоянното видеонаблюдение на служителите на техните работни станции, което не е оправдано от изключителни обстоятелства, свързани със сигурността или кражби, нарушава принципа за минимизиране на данните.
По същия начин системата за записване и прослушване на телефонни разговори трябва да бъде пропорционална на преследваната цел и не трябва да причинява прекомерна вреда на неприкосновеността на личния живот на записаните хора.
По този начин целта за подобряване на продажбите и обучението на служителите не оправдава системното и пълно записване на телефонни разговори, докато може да се приложи случайно и произволно записване на извършени разговори.
Същото важи, ако целта е да се съберат „доказателства“: освен в случаите, когато се изисква от закона, системното записване на телефонни разговори е оправдано само при условие, че е необходимо, освен ако не представлява доказателство за договор или акт за изпълнение на договор, сключен с потребител (например покупка на услуга).
CNIL санкционира две компании с по-малко от 250 служители за липса на регистър на дейностите по обработване на лични данни, като въпросното обработване не е случайно.
Поддържането на регистър на дейностите по обработка се изисква от разпоредбите на член 30 от GDPR. Той дава възможност да се идентифицира по-специално какви данни се събират, по каква причина или кой има достъп до тях. Това е инструмент за наблюдение и демонстриране на съответствието на администратора с GDPR, който трябва редовно да се актуализира в съответствие с функционалните и техническите разработки в обработката на данни.
Опростената санкционна процедура е един от репресивните инструменти, с които CNIL разполага, за да гарантира спазването на GDPR и да отговори на многобройните жалби, получавани всяка година (16 000 през 2023 г.). Тази опростена процедура, заложена в закона от 2022 г. по инициатива на CNIL, дава възможност за налагане на бързи санкции за казуси, които не представляват особена трудност, за разлика от така наречените „обикновени“ санкции. Опростените санкции не са публични и размерът на глобите, които могат да бъдат наложени, не може да надвишава 20 000 евро.
От януари 2024 г., за 9 месеца, CNIL е наложил 28 опростени санкции на обща сума от 290 500 евро. За сравнение през цялата 2023 г. са наложени 24 опростени санкции на обща стойност 229 500 евро, които са добавени към 18-те обикновени санкции (88 950 000 евро).
CNIL припомня в съобщението си и санкцията от 290 милиона евро, наложена от холандските власти, в сътрудничество с CNIL, срещу компанията UBER на 22 юли 2024 г.
Успоредно с репресивните мерки, CNIL подкрепя администраторите на данни в тяхното съответствие с GDPR, като отговаря на техните искания за съвет (повече от 15 000 през 2023 г.), чрез няколко специални системи (подсилена поддръжка, „sandbox“), или чрез редовното публикуване на множество тематични и секторни ресурси на своя уебсайт.
Тези елементи са в съответствие със заключенията на Втория доклад на Европейската комисия относно прилагането на GDPR, който призовава европейските органи да насърчават диалога с администраторите на данни чрез засилване на мерките за подкрепа, за да се даде възможност за ефективно регулиране.